SBS Biz

정부가 국민 데이터를 대량으로 보유한 5개 기업을 대상으로 해킹을 통한 모의 침투 점검을 실시할 예정인 것으로 확인됐습니다.



과학기술정보통신부와 한국인터넷진흥원(KISA)은 이르면 8월 중순부터 개인정보와 금융정보 등 대규모 국민 데이터를 보유한 민간기업 5곳을 선정해, 해당 기업의 인터넷 정보통신망에 대한 모의 해킹을 실시한다고 오늘(15일) 밝혔습니다.

그간 KISA는 매년 100여 개 중소기업을 대상으로 ‘화이트 해커’ 관점의 모의 해킹을 진행해 왔지만, 대기업과 중견기업을 포함해 국민 데이터를 대규모로 보유한 기업을 대상으로 실시하는 것은 이번이 처음입니다.

이번 점검은 블랙박스 방식으로 진행됩니다. 해킹 기법이나 대상 시스템 등 사전 정보는 기업에 제공하지 않으며, 실제 외부 공격자가 침투를 시도하는 상황을 가정해 실시됩니다.

KISA는 이 과정에서 기업별 환경에 특화된 고난도 침투 기법을 적용하고, 방어 우회 기술도 함께 활용할 계획입니다.



특히 최근 SK텔레콤 침해 사고의 원인으로 지목된 BPF 도어와 같은 고도화된 해킹 방식도 점검 대상입니다.

BPF 도어는 해커가 시스템에 몰래 설치하는 '비밀 출입문' 형태의 백도어로, 보안망을 우회해 외부에서 시스템에 접속할 수 있게 만든 악성 수법입니다. 정부는 이 같은 기법을 활용해 악성코드 침투 흔적과 백도어 감염 가능성을 면밀히 점검할 방침입니다.

KISA는 해당 기업들과 사전 협의를 거쳐 모의 해킹 일정과 방식 등을 조율할 예정이며, 점검 결과를 바탕으로 보안 취약점 통계를 분석하고 개별 기업에 맞는 보완 권고 사항도 전달할 계획입니다.

KISA 관계자는 "SK텔레콤 사고를 계기로, 국민 데이터를 대량으로 보유한 중견·대기업에서도 언제든 보안 사고가 발생할 수 있다는 판단에 따라 이번 점검을 기획하게 됐다"며 "사고를 사전에 예방하기 위한 조치"라고 말했습니다.

과기정통부와 KISA는 이달이나 다음달 중 화이트 해커 전문 업체와 점검 대상 기업 5곳을 최종 선정할 방침입니다.